Контроль учётных записей (UAC) — функция безопасности Windows, которая запускает программы с правами обычного пользователя и запрашивает подтверждение, когда действию нужны права администратора.
Как работает UAC
UAC появился в Windows Vista в 2007 году, чтобы уменьшить ущерб от привычки пользователей постоянно работать с правами администратора. Когда администратор входит в систему, Windows создаёт два маркера доступа: отфильтрованный маркер обычного пользователя для повседневных программ и полный маркер администратора. Если программе нужны повышенные права — для установки ПО или изменения системных настроек, — UAC показывает запрос:
- запрос согласия («Да/Нет») для членов группы «Администраторы»;
- запрос учётных данных для обычных пользователей, которым нужно ввести пароль администратора.
Запрос обычно отображается на «безопасном рабочем столе», с которым другие программы не могут взаимодействовать. UAC также использует уровни целостности и виртуализацию файлов и реестра для устаревших приложений.
Почему UAC важен
UAC поддерживает принцип минимальных привилегий: вредонос, запущенный пользователем, не получает автоматически полный контроль над системой. Однако Microsoft не считает UAC границей безопасности, а при настройке по умолчанию некоторые доверенные бинарные файлы Windows повышают права без запроса. Атакующие используют это в техниках обхода UAC (MITRE ATT&CK T1548.002): например, перехватывают ключи реестра Windows, которые читают автоматически повышающиеся программы вроде fodhelper.exe или eventvwr.exe, и команда атакующего выполняется с высоким уровнем целостности без какого-либо запроса. Обход UAC — частый шаг повышения привилегий у массового вредоносного ПО и программ-вымогателей.
Рекомендации
- Не отключать UAC и на критичных системах выбирать уровень «Всегда уведомлять».
- Выдавать пользователям обычные учётные записи, а для администрирования использовать отдельные.
- Отслеживать изменения ключей реестра, связанных с автоповышением, и необычные дочерние процессы автоматически повышающихся программ.
